Redazione RHC : 11 agosto 2025 15:59
Una falla de seguridad descubierta recientemente en el popular software de compresión de archivos 7-Zip ha generado considerable preocupación en la comunidad de seguridad. Todas las versiones de 7-Zip anteriores a la 25.01 se ven afectadas por esta vulnerabilidad, que se debe a la gestión incorrecta de enlaces simbólicos durante la extracción de archivos.
Esta vulnerabilidad, CVE-2025-55188, fue descubierta y reportada por el investigador de seguridad Landon el 9 de agosto de 2025. Esta vulnerabilidad permite a los atacantes realizar escrituras arbitrarias en archivos durante la extracción, lo que podría provocar la ejecución de código en sistemas vulnerables. Cuando los usuarios extraen un archivo malintencionado que contiene enlaces simbólicos inseguros, 7-Zip sigue estos enlaces durante la extracción, lo que permite a los atacantes escribir archivos en ubicaciones fuera del directorio de extracción previsto.
La vulnerabilidad explota el mecanismo de procesamiento de enlaces simbólicos de 7-Zip. Según el aviso de seguridad, el ataque requiere condiciones específicas para tener éxito. Una vez cumplidas estas condiciones, los atacantes pueden crear archivos maliciosos que contienen enlaces simbólicos que apuntan a archivos confidenciales del sistema. Una vez extraído, 7-Zip sigue estos enlaces simbólicos, lo que permite a los atacantes sobrescribir archivos críticos como claves SSH, archivos .bashrc u otras configuraciones del sistema.
En sistemas Linux, los atacantes requieren que el objetivo utilice una versión vulnerable de 7-Zip al extraer un formato de archivo compatible con enlaces simbólicos, como archivos ZIP, TAR, 7Z o RAR. El proceso de explotación es más sencillo en entornos Linux. En sistemas Windows, se deben cumplir requisitos adicionales para una explotación eficaz. El proceso de extracción de 7-Zipdebe tener privilegios elevados o funcionar en modo de desarrollador de Windows para crear enlaces simbólicos. Esto hace que los sistemas Windows sean menos vulnerables, pero no inmunes a los ataques.
A pesar de recibir una puntuación CVSS de 2,7, clasificándola como de baja gravedad, los expertos en seguridad advierten que el impacto práctico podría ser mucho más significativo. Esta vulnerabilidad permite a los atacantes obtener acceso no autorizado y ejecutar código atacando archivos confidenciales que controlan el comportamiento del sistema. La vulnerabilidad es particularmente preocupante porque 7-Zip muestra las rutas de los archivos antes de la resolución de los enlaces simbólicos, lo que permite a los atacantes ocultar el verdadero destino de sus escrituras maliciosas.
La versión 25.01 de 7-Zip, publicada el 3 de agosto de 2025, soluciona esta vulnerabilidad con una gestión mejorada de los enlaces simbólicos. La actualización incluye importantes mejoras de seguridad para evitar la creación de enlaces simbólicos inseguros durante la extracción de archivos.
RedazioneCloudflare ha anunciado que gestionó de forma independiente un ataque de denegación de servicio distribuido (DDoS) sin precedentes, el más grande jamás visto. El ataque hipervolumétrico alcanzó ...
Los piratas informáticos apuntan cada vez más a las copias de seguridad: no a los sistemas o servidores, sino a los datos que las empresas conservan durante un período de tiempo limitado para poder...
Dos jóvenes involucrados en el grupo Araña Dispersa han sido acusados como parte de la investigación de la Agencia Nacional contra el Crimen sobre un ciberataque a Transport for London (TfL). El 31...
Ya habíamos debatido la propuesta de regulación «ChatControl» hace casi dos años, pero dada la hoja de ruta en curso, nos avergüenza tener que volver a debatirla. Parece un déjà vu, pero en lu...
En un drástico cambio de rumbo, Nepal ha levantado el bloqueo nacional de las redes sociales impuesto la semana pasada después de que provocara protestas masivas de jóvenes y causara al menos 19 mu...
